保护网游帐号 警惕网游盗号木马

　　“网游盗号木马16521”(Win32.PSWTroj.OnlineGames.16521)，这是一个针对《剑侠情缘2》、《破天一剑》、《征服》、《卓越之剑》以及“浩方对战平台”的盗号木马。木马运行后首先会查找并关闭杀毒软件卡巴斯基的报警和提示窗口。释放一个文件注入explorer.exe中，设置全局钩子，如果检测到注入的是上述游戏主程序的话，则通过读取游戏内存的方式获取用户的帐号信息，并回传到木马投放者指定的网址。

　　“QQ三国盗贼94312”(Win32.PSWTroj.QQSG.br.94312)，这是一个盗取网络游戏“QQ三国”帐号的盗号木马变种。该病毒进入系统后会关闭360安全卫士和Gdwli32 盗号木马专杀的窗口和进程，并伺机窃取网络游戏QQ三国的用户帐号、密码、密保等信息，然后发送给木马种植者。

　　一、“网游盗号木马16521”(Win32.PSWTroj.OnlineGames.16521) 威胁级别：★

　　病毒进入系统后，在系统盘的%WINDOWS%目录下生成病毒文件NAVMon32.exE和NAVMon32.dll，并修改注册表启动项相关数据，使自己能在每次系统启动时跟着自动运行起来。

　　紧接着，它创建线程，循环查找杀毒软件卡巴斯基的报警和提示窗口，只要找到，便模拟用户的鼠标点击，抢先关闭该窗口，使用户无法获得卡巴发出的系统异常警告。这样，病毒就能尽可能久地呆在用户系统中。

　　病毒顺利运行起来后，将之前生成的dll文件注入系统桌面进程explorer.exe中，并展开全局监视。如果检测到《剑侠情缘2》、《破天一剑》、《征服》、《卓越之剑》以及“浩方对战平台”的进程，就立即注入其中，通过读取游戏住程序内存的方式获取用户的帐号信息并上传到木马投放者指定的网址http://www.niudvd.com/mingmen/lin.asp，给用户造成虚拟财产的损失。

　　二、“QQ三国盗贼94312”(Win32.PSWTroj.QQSG.br.94312) 威胁级别：★

　　病毒进入用户的电脑系统后，会在系统盘中释放出3个病毒文件，分别为%WINDOWS%目录下的gdqqsgi32.cfg和gdqqsgi32.dll，以及%WINDOWS%\drivers\目录下的msconkt.sys。然后，病毒修改注册表启动项，将自己的相关数据写入其中，实现开机自启动之目的。

　　为躲避用户的检查，在修改注册表时，该病毒将自己伪装成微软移动终端设备的多媒体驱动，用户注意如果检查其属性，会看到其服务名为服务名“AsyncMac”，描述和显示名称为“RAS Asynchronous Media Driver”，路径为“system32\DRIVERS\msconkt.sys”。完成该步骤后，病毒就删除自己的原始文件，使用户无法查到病毒源。

　　紧接着，病毒创建线程，搜索360安全卫士和Gdwli32 盗号木马专杀的进程，发现后立即将它们强行关闭。一旦清理掉安全软件，病毒就会搜索电脑中是否有《剑侠情缘II》、《传奇世界》、《惊天动地》、《魔域》、《QQ三国》等数十款网络游戏的进程。如果搜到《QQ三国》的进程，病毒就会立即注入，并监控有“请输入角色密码：”、“请输入仓库密码：”等信息的窗口，通过内存读写方式用户帐号、密码、密保等信息，然后发送至hxxp://www.n*o**0.com/sanguo/这个由木马种植者指定的网址。

　　根据目前所掌握的情况，此病毒只会盗取《QQ三国》的密码。但由于它也会搜索其它游戏，因此不排除病毒作者以后会对其进行升级，使其具备盗取其它游戏帐户信息的能力，因此广大用户需特别注意。

　　反病毒工程师建议

　　1.最好安装专业的杀毒软件进行全面监控，防范日益增多的病毒。用户在安装反病毒软件之后，应将一些主要监控经常打开(如邮件监控、内存监控等)、经常进行升级、遇到问题要上报，这样才能真正保障计算机的安全。

　　2.由于玩网络游戏、利用QQ聊天的用户数量逐渐增加，所以各类盗号木马必将随之增多，建议用户一定要养成良好的网络使用习惯，及时升级杀毒软件，开启防火墙以及实时监控等功能，切断病毒传播的途径，不给病毒以可乘之机。